(1)

Europski okvir za digitalni identitet uspostavljen Uredbom (EU) br. 910/2014 važan je element za uspostavu sigurnog i interoperabilnog ekosustava digitalnog identiteta u cijeloj Uniji. Temelj okvira su europske lisnice za digitalni identitet („lisnice”), a cilj mu je olakšati pristup uslugama u svim državama članicama i zajamčiti zaštitu osobnih podataka i privatnosti.

(2)

Na sve aktivnosti obrade osobnih podataka na temelju ove Uredbe primjenjuju se Uredba (EU) 2016/679 Europskog parlamenta i Vijeća (2) i, prema potrebi, Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (3).

(3)

Člankom 5.a stavkom 23. Uredbe (EU) br. 910/2014 Komisija se ovlašćuje da prema potrebi utvrdi relevantne specifikacije i postupke. To će učiniti putem četiri provedbene uredbe, koje se odnose na protokole i sučelja Provedbena uredba Komisije (EU) 2024/2982 (4), cjelovitost i osnovne funkcionalnosti Provedbena uredba Komisije (EU) 2024/2979 (5), osobne identifikacijske podatke i elektroničku potvrdu atributa Provedbena uredba Komisije (EU) 2024/2977 (6) te prijave Komisiji Provedbena uredba Komisije (EU) 2024/2980 (7). Ovom se Uredbom utvrđuju relevantni zahtjevi za osobne identifikacijske podatke i elektroničke potvrde atributa koji se izdaju europskim lisnicama za digitalni identitet.

(4)

Komisija redovito ocjenjuje nove tehnologije, prakse, norme ili tehničke specifikacije. Kako bi države članice u najvećoj mogućoj mjeri usklađeno razvijale i certificirale lisnice, tehničke specifikacije utvrđene u ovoj Provedbenoj uredbi temelje se na Preporuci Komisije (EU) 2021/946 od 3. lipnja 2021. o zajedničkom Unijinu paketu alata za koordinirani pristup europskom okviru za digitalni identitet (8), osobito na njezinu arhitekturnom i referentnom okviru. U skladu s uvodnom izjavom 75. Uredbe (EU) 2024/1183 Europskog parlamenta i Vijeća (9) Komisija bi ovu Provedbenu uredbu trebala preispitivati i, prema potrebi, ažurirati kako bi bila u skladu s globalnim kretanjima, arhitekturnim i referentnim okvirom te provjerenim praksama na unutarnjem tržištu.

(5)

Kako bi se zajamčila integrirana i zadana zaštita podataka, lisnice bi trebale imati nekoliko načina povećanja zaštite privatnosti kako bi se spriječilo da pružatelji sredstava elektroničke identifikacije i elektroničkih potvrda atributa osobne podatke dobivene tijekom pružanja drugih usluga kombiniraju s osobnim podacima obrađenima u svrhu pružanja usluga obuhvaćenih područjem primjene Uredbe (EU) br. 910/2014.

(6)

Određene zajedničke funkcionalnosti trebale bi radi usklađenosti biti dostupne u svim lisnicama, uključujući mogućnost da korisnik lisnice pod svojom isključivom kontrolom sigurno zatraži, dobije, odabire, kombinira, pohranjuje, briše, dijeli i predočava osobne identifikacijske podatke i elektroničke potvrde atributa. Da bi se osobni identifikacijski podaci i elektroničke potvrde atributa mogli obrađivati u svakoj jedinici lisnice, sve izvedbe lisnice moraju podržavati tehničke specifikacije koje se odnose na atribute osobnih identifikacijskih podataka, format podataka i infrastrukturu koji su neophodni da bi se zajamčila odgovarajuća vjerodostojnost osobnih identifikacijskih podataka. Nadalje, svrha je zajedničkih specifikacija koje se odnose na atribute osobnih identifikacijskih podataka omogućiti da se ti podaci prema potrebi mogu koristiti za potvrđivanje identiteta.

(7)

Države članice trebaju se pobrinuti za to da lisnice mogu autentificirati pouzdajuće strane, pružatelje osobnih identifikacijskih podataka i pružatelje elektroničkih potvrda atributa bez obzira na to gdje u Uniji imaju poslovni nastan. U tu bi svrhu ti subjekti za identifikaciju jedinicama lisnice trebali koristiti pristupne certifikate pouzdajućih strana lisnice. Kako bi se interoperabilnost tih certifikata zajamčila u svim lisnicama u Uniji, pristupni certifikati pouzdajućih strana lisnice trebali bi biti u skladu sa zajedničkim standardima. Komisija bi u suradnji s državama članicama trebala pomno pratiti razvoj novih ili alternativnih normi na temelju kojih bi se mogli izrađivati pristupni certifikati pouzdajućih strana lisnice. Prvenstveno bi trebalo ocijeniti modele povjerenja čije su učinkovitost i sigurnost dokazane u državama članicama.

(8)

Radi transparentnosti za korisnike lisnice države članice trebale bi objaviti koje izvedbe lisnice podržavaju pružatelji osobnih identifikacijskih podataka s poslovnim nastanom na njihovu državnom području. Budući da identitet korisnika mora biti maksimalno pouzdan, za dokazivanje identiteta korisnika lisnice prije izdavanja osobnih identifikacijskih podataka trebalo bi propisati visoku zajedničku razinu osiguranja identiteta, u skladu s visokom razinom osiguranja identiteta utvrđenom za sredstva elektroničke identifikacije u Uredbi (EU) br. 910/2014. Jedinice lisnice tako će jamčiti najviši stupanj vjerodostojnosti dostupan za sredstva identifikacije u cijeloj Uniji. Pri upisu korisnika lisnice na visokoj razini osiguranja identiteta mogu se provoditi razni sigurnosni postupci: na primjer, ako je potvrđeno da korisnik lisnice posjeduje fotografski ili biometrijski identifikacijski dokaz koji se priznaje, ali nije izdan u državi članici u kojoj je podnesen zahtjev za sredstvo elektroničke identifikacije i ako taj dokaz predstavlja deklarirani identitet, trebalo bi potvrditi njegovu valjanost prema relevantnom mjerodavnom izvoru.

(9)

Kako bi se omogućila interoperabilnost, elektroničke potvrde atributa trebale bi ispunjavati usklađene zahtjeve u pogledu formata.

(10)

Da bi se zaštitili podaci korisnika lisnice i zajamčila autentičnost elektroničkih potvrda atributa, prije izdavanja potvrda jedinicama lisnice trebalo bi primijeniti mehanizme za autentifikaciju pružatelja elektroničkih potvrda atributa i mehanizme tog pružatelja za provjeru vjerodostojnosti i valjanosti jedinica lisnice.

(11)

Kako bi se izbjegla upotreba i oslanjanje na osobne identifikacijske podatke i elektroničke potvrde atributa koji su izgubili pravnu valjanost nakon što su izdani za određenu jedinicu lisnice, pružatelji osobnih identifikacijskih podataka i elektroničkih potvrda atributa trebali bi objaviti pravila s opisom okolnosti i postupaka za opoziv.

(12)

Kako bi se zajamčilo da osobni identifikacijski podaci na nedvojben način predstavljaju korisnika lisnice, države članice trebale bi, uz obvezne atribute za osobne identifikacijske podatke utvrđene u ovoj Uredbi, propisati neobvezne atribute potrebne da bi skup osobnih identifikacijskih podataka bio jedinstven.

(13)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (10) te je on dao mišljenje 30. rujna 2024.

(14)

Mjere predviđene ovom Uredbom u skladu su s mišljenjem Odbora iz članka 48. Uredbe (EU) br. 910/2014,

1.

„korisnik lisnice” znači korisnik koji ima kontrolu nad jedinicom lisnice;

2.

„jedinica lisnice” znači jedinstvena konfiguracija izvedbe lisnice koja obuhvaća instance lisnice, sigurne kriptografske aplikacije lisnice i sigurne kriptografske uređaje lisnice i koju pružatelj lisnice daje pojedinačnom korisniku lisnice;

3.

„izvedba lisnice” znači kombinacija softvera, hardvera, usluga, postavki i konfiguracija, uključujući instance lisnice, najmanje jednu sigurnu kriptografsku aplikaciju lisnice i najmanje jedan sigurni kriptografski uređaj lisnice;

4.

„pružatelj osobnih identifikacijskih podataka” znači fizička ili pravna osoba odgovorna za izdavanje i opoziv osobnih identifikacijskih podataka i kriptografsko povezivanje osobnih identifikacijskih podataka određenog korisnika s određenom jedinicom lisnice;

5.

„potvrda jedinice lisnice” znači podatkovni objekt koji opisuje komponente jedinice lisnice ili omogućuje njihovu autentifikaciju i validaciju;

6.

„instanca lisnice” znači aplikacija koja je instalirana i konfigurirana na uređaju ili u okruženju korisnika lisnice, dio je jedinice lisnice i korisniku lisnice služi za interakciju s jedinicom lisnice;

7.

„sigurna kriptografska aplikacija lisnice” znači aplikacija za upravljanje ključnim resursima povezana sa sigurnim kriptografskim uređajem lisnice čije kriptografske i nekriptografske funkcije koristi;

8.

„sigurni kriptografski uređaj lisnice” znači uređaj zaštićen od neovlaštenih radnji koji osigurava okruženje povezano sa sigurnom kriptografskom aplikacijom lisnice koje ona koristi za zaštitu ključnih resursa i u kojem se za nju izvršavaju kriptografske funkcije za sigurno izvođenje ključnih operacija;

9.

„pružatelj lisnice” znači fizička ili pravna osoba koja stavlja na raspolaganje izvedbe lisnice;

10.

„ključni resursi” znači resursi unutar lisnice ili povezani s njom koji su toliko izvanredno važni da bi zbog ugrožavanja njihove dostupnosti, povjerljivosti ili cjelovitosti mogućnost pouzdavanja u jedinicu lisnice bila ozbiljno narušena;

11.

„pouzdajuća strana lisnice” znači pouzdajuća strana koja se namjerava pouzdati u jedinice lisnice radi pružanja javnih ili privatnih usluga putem digitalne interakcije;

12.

„pristupni certifikat pouzdajuće strane lisnice” znači certifikat za elektroničke pečate ili potpise kojim se autentificira i validira pouzdajuća strana lisnice, a koji izdaje pružatelj pristupnih certifikata pouzdajućih strana lisnice;

13.

„pružatelj pristupnih certifikata pouzdajućih strana lisnice” znači fizička ili pravna osoba koju je država članica ovlastila za izdavanje pristupnih certifikata pouzdajućih strana pouzdajućim stranama lisnice koje su registrirane u toj državi članici.